Permiso de acceso al catálogo
El permiso de acceso regula la consulta del catálogo y su contenido. Un enlace visible o un inicio de sesión no bastan como comprobación.
El permiso de acceso al catálogo define quién puede acceder a un catálogo concreto o a su contenido. El ámbito puede ser una cuenta de empresa o una sede, por ejemplo. Los productos y precios visibles deben ajustarse a esa asignación.
Aplicar el permiso al consultar los datos
En un portal ficticio, una cuenta de compras puede consultar el catálogo de su empresa. Otro catálogo se oculta en el menú. Sus datos solo están protegidos si la consulta directa al servidor también comprueba el permiso adecuado. Cambiar el identificador del catálogo no debe devolver contenido de otra empresa sin comprobarlo.
OWASP exige comprobar la acción solicitada sobre el objeto concreto. Su aplicación debe evaluar conjuntamente el usuario, la asignación de empresa y el acceso solicitado. El acceso al catálogo puede regularse aparte del permiso para realizar pedidos. Compruebe ambos con cuentas de prueba adecuadas; un inicio de sesión correcto solo confirma la autenticación.
Fuentes
Términos relacionados
- Surtido por clienteEl surtido por cliente define los artículos que se ofrecen a cada cliente. La selección, los precios y los permisos de acceso deben ser coherentes en la tienda.
- Capacidad de entregaLa capacidad de entrega indica si puede atenderse una demanda concreta. Un valor de existencias no responde por sí solo sobre cantidad, destino y momento.
- Historial de pedidosEl historial muestra pedidos anteriores en el ámbito acordado de la cuenta. Los precios pasados, la disponibilidad actual y el procesamiento son datos distintos.
- Portal de distribuidoresUn portal de distribuidores da acceso digital a la información y los procesos acordados. Deben definirse el alcance y la relación con cada empresa.
- Dirección de facturaciónLa dirección de facturación es un dato propio del pedido o la facturación. Su campo no debe intercambiarse accidentalmente con el destino de entrega.
- Dirección de envíoLa dirección de envío indica el destino de una operación. La tienda y la interfaz deben distinguirla de la dirección de facturación y de la libreta de direcciones.
Artículos sobre el tema
E-Commerce con ASES
Tiendas online, marketplaces y portales B2B